Reglamento europeo de IA: qué debe hacer de verdad una pyme que usa IA

La mayoría de las pymes usará la IA sin ser «proveedora» de ningún sistema: contratará una herramienta y la pondrá a trabajar. Para el Reglamento europeo de IA eso la convierte en responsable del despliegue, y lo que debe hacer depende sobre todo de para qué usa la herramienta, no de cuál sea.

El calendario cambió en 2026. El Reglamento (UE) 2026/1744, conocido como Ómnibus Digital de IA, se publicó el 24 de julio y entró en vigor el 27 de julio. Muchas guías que siguen circulando se quedaron con las fechas antiguas.

Las fechas que importan ahora

• Desde el 2 de febrero de 2025: están prohibidas ciertas prácticas, como reconocer emociones de los trabajadores salvo por motivos médicos o de seguridad.
• Desde el 2 de agosto de 2026: se aplican las obligaciones de transparencia del artículo 50, como avisar a la persona de que habla con una IA.
• 2 de diciembre de 2026: acaba la prórroga del marcado técnico de contenido generado para sistemas que ya estaban en el mercado y empiezan dos nuevas prohibiciones sobre imágenes íntimas no consentidas y material de abuso sexual infantil.
• 2 de diciembre de 2027: obligaciones de los sistemas autónomos de alto riesgo, como los usados para seleccionar personal. Antes era el 2 de agosto de 2026.
• 2 de agosto de 2028: alto riesgo integrado en productos regulados, como maquinaria o productos sanitarios. Antes era el 2 de agosto de 2027.

Puedes ver un resumen de los cambios en este análisis de Cooley o acudir al texto oficial enlazado arriba.

Primero, ¿lo que usas es IA?

No toda automatización entra en el Reglamento. Su definición se centra en sistemas que infieren cómo generar resultados, como predicciones, contenidos o decisiones. Su considerando 12 excluye los sistemas basados en reglas definidas solo por personas. Una regla como «si el pedido supera 1.000 €, avisa a dirección» normalmente no es un sistema de IA. Un modelo que lee correos y decide cómo clasificarlos, sí.

En los proyectos mixtos conviene separar las piezas. Una misma automatización puede tener tramos de reglas, sin obligaciones específicas de este Reglamento, y un tramo con un modelo que sí hay que analizar. Las normas de protección de datos se aplican en ambos casos si hay datos personales.

Qué te toca según el uso

Uso sin riesgo específico

Resumir documentos internos, redactar borradores, extraer datos de facturas o clasificar incidencias suele quedar aquí, si no decide nada importante sobre personas. No hay obligaciones específicas de alto riesgo, aunque sí conviene formar al equipo y revisar los resultados.

Transparencia

• Chatbots y asistentes: la persona debe saber que habla con una IA, salvo que sea evidente por el contexto. La obligación de diseño recae en el proveedor, pero quien lo despliega debe configurarlo sin ocultarlo.
• Ultrafalsificaciones: si difundes imagen, audio o vídeo generados o manipulados que parecen reales, debes indicarlo.
• Textos sobre asuntos de interés público: si se publican para informar, hay que indicar que los generó una IA, salvo que los haya revisado una persona que asuma la responsabilidad editorial.

Alto riesgo

Aquí están los usos que pueden afectar seriamente a las personas. Para una pyme, los más habituales son filtrar currículums, evaluar a empleados o asignarles tareas según su comportamiento o rasgos personales, y valorar la solvencia de particulares. Quien los despliega deberá seguir las instrucciones de uso, asignar supervisión humana con formación suficiente, vigilar el funcionamiento y conservar los registros, entre otras obligaciones.

Aunque el plazo sea diciembre de 2027, si vas a comprar una de estas herramientas ahora, pregunta ya al proveedor cómo piensa cumplir. Cambiarla después costará más.

Prohibido

Además del reconocimiento de emociones en el trabajo, el artículo 5 prohíbe, entre otras prácticas, la manipulación que cause perjuicios importantes y la categorización biométrica para deducir datos como la religión o la orientación sexual. Si una herramienta promete «detectar el estado de ánimo» de tus empleados o de tus comerciales, consúltalo antes de activarla.

La formación en IA sigue siendo buena idea

El artículo 4 exigía garantizar un nivel suficiente de alfabetización en IA. El Ómnibus ha rebajado esa redacción, y los análisis no la interpretan todos con el mismo alcance. En la práctica, formar a quien usa estas herramientas sigue compensando: reduce errores y fugas de datos, y deja constancia de que actuaste con diligencia. Con una sesión práctica sobre qué se puede pegar en cada herramienta y cómo revisar sus respuestas ya cubres lo más importante.

Inventario de una tarde para saber dónde estás

Haz una hoja de cálculo con una fila por cada herramienta o automatización con IA, incluidas las funciones de IA de programas que ya pagas, y responde a estas preguntas:

• ¿Quién la usa y para qué, con un ejemplo real?
• ¿Influye en decisiones sobre personas, como contratar, evaluar, conceder crédito o prestar un servicio?
• ¿Habla con clientes o genera contenido que se publica?
• ¿Qué datos recibe, hay datos personales y dónde se tratan?
• ¿Quién revisa el resultado y qué pasa si se equivoca?
• ¿Qué dice el contrato del proveedor sobre su rol, el uso de tus datos y la documentación disponible?

Con esa hoja verás qué filas no requieren nada especial, cuáles necesitan un aviso de transparencia y cuáles merecen revisión legal. También puedes revisarla antes de cada compra. Si estás valorando dónde usar IA, en IA aplicada a negocio explicamos cómo lo planteamos.

No olvides el RGPD

El Reglamento de IA no sustituye a la normativa de protección de datos. Si la herramienta trata datos personales, sigues necesitando base legal, información a los interesados, contrato con el encargado del tratamiento y control de las transferencias internacionales. Si una decisión con efectos importantes sobre una persona se toma solo de forma automatizada, el artículo 22 del RGPD también entra en juego.

Preguntas frecuentes